Articolo a cura di: Redazione - Studio Legale Calvello

Un canale whistleblowing interno non può considerarsi conforme soltanto perché l’azienda ha attivato una piattaforma informatica o predisposto un indirizzo email dedicato. Il D.Lgs. 24/2023 richiede un sistema di segnalazione che assicuri la riservatezza, individui un gestore competente e autonomo e consenta di ricevere, esaminare e riscontrare le segnalazioni secondo modalità e termini precisi. Per le imprese soggette alla normativa, eventuali carenze organizzative possono comportare contestazioni e sanzioni, anche quando il canale risulta formalmente attivo. Occorre quindi verificare quali requisiti deve possedere il canale interno, chi può gestirlo e quali responsabilità rimangono in capo all’azienda, valutando quando sia opportuno affidare l’organizzazione o la gestione a un professionista esterno.

Quando il canale whistleblowing interno è obbligatorio e quali requisiti deve rispettare

Il primo controllo riguarda l’effettiva applicabilità dell’obbligo. Nel settore privato, il D.Lgs. 24/2023 impone l’istituzione di canali interni ai soggetti che hanno impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati con contratti a tempo indeterminato o determinato. L’obbligo riguarda anche determinati soggetti operanti nei settori individuati dalla normativa europea richiamata dal decreto, indipendentemente dal numero dei lavoratori. Per le imprese che rientrano nel campo di applicazione del D.Lgs. 231/2001 e adottano i relativi modelli organizzativi, sono previste ulteriori ipotesi di applicazione, anche sotto la soglia dei 50 dipendenti.

La verifica deve essere effettuata sulla situazione concreta della società, considerando il criterio di calcolo dell’organico, l’attività esercitata e l’eventuale adozione di un Modello 231. La dimensione aziendale, da sola, non permette sempre di stabilire se il canale sia obbligatorio. Per approfondire i presupposti applicativi è possibile consultare il nostro articolo dedicato a quali aziende devono istituire obbligatoriamente un canale whistleblowing.

Una volta accertato l’obbligo, l’impresa deve predisporre un sistema conforme all’art. 4 del D.Lgs. 24/2023. Il canale deve garantire, anche mediante strumenti di crittografia quando appropriati, la riservatezza dell’identità della persona segnalante, della persona coinvolta, degli altri soggetti menzionati nella segnalazione, del contenuto della comunicazione e della relativa documentazione. La protezione deve riguardare l’intero processo, dalla ricezione alla conservazione degli atti, e non soltanto il momento dell’invio.

Le segnalazioni devono poter essere effettuate in forma scritta, anche attraverso modalità informatiche, oppure in forma orale. Per queste ultime, la normativa contempla linee telefoniche, sistemi di messaggistica vocale e, su richiesta del segnalante, un incontro diretto fissato entro un termine ragionevole. L’organizzazione del canale deve quindi consentire entrambe le forme di comunicazione, senza costringere chi segnala a utilizzare esclusivamente una piattaforma digitale.

Un indirizzo email ordinario non assicura automaticamente le garanzie richieste. Occorre valutare chi possa accedere alla casella, come siano protetti i messaggi, quali informazioni vengano registrate dai sistemi aziendali e se amministratori informatici o personale non autorizzato possano conoscere l’identità del segnalante. Problemi analoghi possono presentarsi con moduli web, cartelle condivise e applicazioni prive di adeguate restrizioni. Per questo motivo, la scelta dello strumento deve essere preceduta da una verifica delle misure tecniche e organizzative, tenendo conto anche della disciplina sulla protezione dei dati personali.

L’azienda deve rendere disponibili informazioni chiare sul funzionamento del canale, sulle procedure di segnalazione interna ed esterna e sui relativi presupposti. Tali informazioni devono essere facilmente accessibili nei luoghi di lavoro e alle persone che, pur non frequentandoli, intrattengono rapporti giuridici rilevanti con l’organizzazione. Quando l’impresa dispone di un sito internet, le informazioni devono essere pubblicate anche in un’apposita sezione. Prima dell’attivazione occorre inoltre rispettare la consultazione delle rappresentanze o organizzazioni sindacali prevista dall’art. 4 del decreto.

Le Linee guida ANAC sui canali interni di segnalazione costituiscono un riferimento per verificare l’organizzazione del sistema, la gestione degli accessi, le modalità di ricezione e le garanzie di riservatezza. L’adeguatezza deve essere valutata considerando il funzionamento effettivo del canale: una procedura formalmente corretta non è sufficiente quando le modalità operative espongono le segnalazioni a conoscenze o interferenze non autorizzate.

Come organizzare la gestione del canale interno: responsabile, autonomia e procedure operative

Il secondo profilo riguarda l’individuazione del soggetto incaricato di ricevere e gestire le segnalazioni. L’art. 4 del D.Lgs. 24/2023 stabilisce che la gestione sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno anch’esso autonomo e dotato di personale specificamente formato. La nomina del gestore non può quindi ridursi all’attribuzione informale dell’incarico a un dipendente, senza verificare competenze, autonomia, disponibilità operativa e possibili conflitti di interessi.

Nelle imprese di dimensioni contenute, la gestione viene talvolta assegnata all’ufficio HR, alla funzione compliance, all’ufficio legale interno oppure all’Organismo di Vigilanza. Nessuna di queste soluzioni può essere considerata automaticamente idonea in ogni situazione. Occorre esaminare la posizione organizzativa del soggetto incaricato, le sue relazioni con gli amministratori e i dirigenti, la possibilità che venga coinvolto nelle vicende segnalate e la sua capacità di svolgere verifiche senza interferenze. L’eventuale attribuzione dell’incarico all’OdV richiede anche un coordinamento con le funzioni di vigilanza previste dal Modello 231.

Il problema assume particolare rilievo quando la segnalazione riguarda proprio il responsabile incaricato, un componente della direzione o un soggetto dal quale il gestore dipende gerarchicamente. Una procedura correttamente organizzata deve prevedere in anticipo come affrontare i conflitti di interessi e a chi attribuire la gestione nei casi di incompatibilità. Senza questa previsione, l’azienda rischia di trovarsi impreparata nel momento in cui deve assicurare riservatezza e imparzialità.

La gestione può essere affidata anche a un professionista esterno. Questa soluzione può risultare appropriata quando l’impresa non dispone di personale adeguatamente formato, presenta una struttura gerarchica concentrata oppure intende separare la ricezione delle segnalazioni dalle ordinarie funzioni aziendali. L’esternalizzazione richiede comunque un incarico che definisca attività, responsabilità operative, modalità di comunicazione, misure di sicurezza e rapporti con gli organi societari. Per una valutazione più specifica delle alternative è disponibile il nostro approfondimento su a chi affidare la gestione esterna delle segnalazioni whistleblowing.

Individuato il gestore, l’azienda deve stabilire come il canale funzionerà concretamente. La procedura deve disciplinare la ricezione delle comunicazioni, la verifica preliminare della loro pertinenza, l’eventuale richiesta di chiarimenti, lo svolgimento dell’istruttoria e la documentazione delle attività effettuate. Deve anche regolare i rapporti con le funzioni aziendali che possono essere coinvolte negli accertamenti, evitando che la circolazione delle informazioni comprometta la riservatezza delle persone interessate.

L’art. 5 del D.Lgs. 24/2023 impone al gestore di rilasciare al segnalante un avviso di ricevimento entro sette giorni dalla data di ricezione, mantenere le interlocuzioni necessarie, dare diligente seguito alle segnalazioni e fornire riscontro entro tre mesi dalla data dell’avviso di ricevimento oppure, in mancanza di tale avviso, dalla scadenza del termine di sette giorni previsto per il suo rilascio. Il riscontro non coincide necessariamente con la conclusione di ogni accertamento, ma deve essere coerente con le attività svolte e con lo stato della gestione.

Questi adempimenti richiedono un’organizzazione che consenta di monitorare le scadenze, conservare la documentazione e ricostruire le decisioni assunte. La semplice disponibilità di un software non sostituisce il lavoro del gestore. Abbiamo approfondito questo aspetto nell’articolo dedicato alla domanda se una piattaforma whistleblowing sia sufficiente per essere in regola.

Quando il canale viene istituito o riorganizzato, devono essere definite anche le responsabilità relative al trattamento dei dati personali. Il GDPR impone di individuare correttamente i ruoli dei soggetti coinvolti, limitare gli accessi, adottare misure di sicurezza proporzionate e verificare gli obblighi documentali e contrattuali applicabili. La presenza di un fornitore tecnologico o di un gestore esterno rende necessario esaminare i rispettivi compiti, senza presumere che ogni soggetto coinvolto abbia automaticamente la medesima qualificazione privacy.

Per le società dotate di Modello 231, l’organizzazione del canale deve inoltre essere coordinata con i protocolli aziendali, il sistema disciplinare e i flussi informativi verso l’Organismo di Vigilanza. Tale coordinamento non comporta che ogni segnalazione debba essere trasmessa integralmente all’OdV: occorre definire quali informazioni siano pertinenti alle sue funzioni e in quali condizioni possano essere comunicate, nel rispetto delle garanzie previste dal D.Lgs. 24/2023.

Responsabilità dell’azienda, controlli e sanzioni per un canale whistleblowing non conforme

L’istituzione del canale interno non esaurisce gli obblighi dell’impresa. Il sistema deve mantenere nel tempo le condizioni di riservatezza, autonomia e funzionalità richieste dalla normativa. Un canale inizialmente conforme può diventare inadeguato dopo una riorganizzazione societaria, la sostituzione del gestore, una modifica dei sistemi informatici o l’attribuzione di nuovi poteri di accesso al personale aziendale. Per questo motivo, la conformità del whistleblowing deve essere verificata anche durante il funzionamento del sistema, senza limitarsi alla documentazione predisposta al momento dell’attivazione.

Le criticità più frequenti riguardano la mancata individuazione di un gestore effettivamente autonomo, l’accessibilità delle segnalazioni a persone non autorizzate, l’assenza di procedure per affrontare i conflitti di interessi e l’impossibilità di documentare le attività svolte. Ulteriori problemi possono derivare dalla mancata comunicazione delle modalità di segnalazione ai soggetti interessati o dall’utilizzo di strumenti informatici che non assicurano un’adeguata separazione delle informazioni riservate.

Il D.Lgs. 24/2023 attribuisce all’ANAC competenze sanzionatorie per specifiche violazioni. L’art. 21 prevede sanzioni amministrative pecuniarie da 10.000 a 50.000 euro, tra l’altro, quando viene accertato che non sono stati istituiti canali di segnalazione, che non sono state adottate procedure per effettuare e gestire le segnalazioni oppure che tali procedure non sono conformi alle prescrizioni degli artt. 4 e 5. La medesima fascia sanzionatoria riguarda anche altre condotte individuate dalla disposizione, tra cui l’ostacolo alle segnalazioni, la violazione dell’obbligo di riservatezza e il mancato svolgimento delle attività di verifica e analisi delle segnalazioni ricevute.

Non ogni irregolarità determina automaticamente l’applicazione della sanzione massima. Occorre verificare la condotta contestata, la disposizione violata e le circostanze del caso concreto. L’azienda che riceve una contestazione deve quindi ricostruire l’organizzazione del proprio canale, gli incarichi conferiti, le misure effettivamente adottate e le attività documentabili, valutando gli eventuali interventi correttivi e le possibilità di difesa.

Particolare attenzione richiede il rapporto tra whistleblowing e protezione dei dati personali. L’art. 13 del D.Lgs. 24/2023 richiama il rispetto della normativa privacy, mentre l’art. 14 disciplina la conservazione delle segnalazioni e della relativa documentazione. Queste devono essere conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura, nel rispetto degli obblighi di riservatezza. L’impresa deve pertanto definire tempi di conservazione, criteri di cancellazione, autorizzazioni e misure di sicurezza coerenti con le operazioni concretamente svolte.

La gestione dei dati richiede inoltre di valutare la necessità di una valutazione d’impatto ai sensi dell’art. 35 GDPR, secondo quanto previsto dall’art. 13 del decreto. La presenza di una piattaforma fornita da terzi non trasferisce automaticamente al fornitore tutte le responsabilità del titolare del trattamento. Devono essere verificati i rapporti contrattuali, le istruzioni impartite e le condizioni di accesso ai dati, considerando anche l’eventuale intervento del DPO.

Per le imprese che hanno adottato un Modello organizzativo 231, le carenze del canale interno possono assumere rilievo anche rispetto all’effettiva attuazione del sistema di controllo. Occorre verificare che la procedura whistleblowing sia coerente con l’organizzazione aziendale e con le funzioni dell’Organismo di Vigilanza, senza confondere la violazione della disciplina sulle segnalazioni con l’automatica configurazione della responsabilità amministrativa dell’ente.

Un controllo periodico dovrebbe quindi riguardare la procedura adottata, le autorizzazioni di accesso, l’effettiva formazione del gestore, le modalità di segnalazione scritta e orale, la documentazione delle attività e il rispetto delle scadenze. Quando emergono carenze, è opportuno individuare gli interventi necessari e documentarne l’esecuzione. Una verifica preventiva consente di affrontare le irregolarità prima che compromettano la gestione di una segnalazione concreta.

Un caso pratico: canale whistleblowing attivo ma gestione interna inadeguata

Consideriamo una società manifatturiera con 180 dipendenti che ha attivato una piattaforma whistleblowing e affidato la gestione delle segnalazioni al responsabile HR. La procedura aziendale prevede l’accesso riservato alla piattaforma, ma non disciplina le situazioni di conflitto di interessi né individua un sostituto del gestore. Un dipendente segnala presunte irregolarità commesse da un dirigente con il quale il responsabile HR collabora abitualmente.

La società si trova così a dover affrontare un problema organizzativo che avrebbe dovuto essere valutato prima della ricezione della segnalazione. La piattaforma funziona correttamente, ma l’assenza di una procedura per gestire l’eventuale conflitto di interessi mette in discussione l’adeguatezza del sistema. Occorre verificare se il gestore possa operare con autonomia e imparzialità e, qualora ciò non sia possibile, individuare una soluzione che preservi la riservatezza e consenta il corretto seguito della segnalazione.

In una situazione del genere, noi esamineremmo gli incarichi, la procedura e le autorizzazioni esistenti, verificando la possibilità di affidare la gestione a un soggetto autonomo e specificamente formato. L’intervento dovrebbe riguardare anche l’aggiornamento delle regole interne, affinché il problema non si ripresenti. La necessità di una soluzione esterna dipenderebbe dalla struttura societaria e dalle effettive condizioni di indipendenza delle figure disponibili.

Domande frequenti sul canale whistleblowing interno

È sufficiente attivare una piattaforma whistleblowing per essere in regola?

No. La piattaforma costituisce uno strumento di ricezione e gestione, ma l’azienda deve anche individuare un gestore autonomo e formato, adottare una procedura conforme, assicurare la riservatezza, prevedere le modalità di segnalazione orale e rispettare gli obblighi informativi e operativi previsti dal D.Lgs. 24/2023.

Il canale whistleblowing può essere gestito dall’ufficio HR?

La normativa non esclude in assoluto questa soluzione. Occorre però verificare che la persona o l’ufficio incaricato disponga dell’autonomia e della formazione richieste e che non sussistano conflitti di interessi incompatibili con la corretta gestione delle segnalazioni.

Un’azienda può affidare il canale whistleblowing a un avvocato esterno?

Sì. L’art. 4 del D.Lgs. 24/2023 consente di affidare la gestione a un soggetto esterno autonomo e dotato di personale specificamente formato. L’incarico deve disciplinare le attività affidate, le modalità operative e le garanzie di riservatezza, fermo restando il rispetto degli obblighi che competono all’impresa.

Quanto tempo deve essere conservata una segnalazione whistleblowing?

La segnalazione e la relativa documentazione devono essere conservate per il tempo necessario al loro trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione, secondo quanto previsto dall’art. 14 del D.Lgs. 24/2023 e nel rispetto della normativa sulla protezione dei dati personali.

Quali rischi corre un’azienda con un canale whistleblowing non conforme?

Quando ricorrono le violazioni previste dall’art. 21 del D.Lgs. 24/2023, possono essere applicate sanzioni amministrative pecuniarie. L’azienda può inoltre affrontare contestazioni relative alla riservatezza, al trattamento dei dati personali e alla gestione delle segnalazioni. La valutazione delle conseguenze richiede sempre l’esame della specifica irregolarità.

Consulenza legale per istituire, verificare o riorganizzare il canale whistleblowing aziendale

Lo Studio Legale Calvello assiste le imprese nell’istituzione e nella verifica dei canali whistleblowing interni, nella predisposizione delle procedure, nella valutazione dei requisiti del gestore e nel coordinamento con gli adempimenti GDPR e il Modello 231. Interveniamo anche quando il sistema è già operativo ma presenta carenze organizzative, problemi di riservatezza o difficoltà nella gestione delle segnalazioni.

Se la vostra azienda deve attivare un canale interno, verificarne la conformità o valutare l’affidamento della gestione a un professionista esterno, potete richiedere una consulenza allo Studio Legale Calvello per esaminare gli obblighi applicabili e individuare gli interventi necessari.